Description : Un établissement inconnu accuse réception d'une demande imaginaire, avec une fortune en cryptomonnaie et un lien douteux. Voici comment un formulaire de contact peut devenir un outil de fraude.
Réponse : un tiers a peut-être inscrit votre adresse dans un formulaire public afin que la réponse automatique du commerce transporte son arnaque. Cela ne prouve pas que votre messagerie a été piratée.
Merci pour votre demande. Mais laquelle ?
Un restaurant inconnu promet de vous répondre, alors que vous n'avez même pas demandé le menu. Le nom saisi est une suite de lettres incohérentes. Le texte évoque un énorme solde en USDT et invite à cliquer. Aucune question gastronomique : uniquement un appât.
Ce scénario correspond à un détournement de réponses automatiques, sans permettre d'identifier son auteur, de confirmer l'usage d'un robot ou de connaître l'origine de l'adresse. Le commerce peut aussi subir l'attaque.
Comment un établissement devient coursier
- Un tiers ouvre un formulaire accessible au public.
- Il y inscrit l'adresse d'une autre personne et un texte trompeur dans le nom ou le message.
- Le site expédie automatiquement un accusé de réception reprenant ces informations.
- La cible reçoit un courriel associé au vrai commerce, mais contenant l'arnaque.
Commerce : « Merci de votre message. » Destinataire : « Je n'ai rien envoyé ! » Escroc : « Livraison effectuée. » Le dialogue n'existe pas, mais le colis arrive.
L'agence japonaise IPA a documenté en 2020 une autre affaire de plus de 100 000 messages malveillants diffusés par des réponses automatiques. Ce chiffre ne concerne pas le message évoqué ici.
Mon compte a-t-il été piraté ?
Impossible de le déduire de cet accusé de réception. De nombreux formulaires acceptent l'adresse saisie sans en vérifier le propriétaire. Elle a pu être trouvée dans des données publiques, une ancienne fuite ou ailleurs ; la source exacte reste inconnue.
Des alertes de connexion inconnue, des courriels suspects dans les éléments envoyés ou des paramètres modifiés seraient en revanche des raisons de vérifier la sécurité du compte.
Que faire et que changer ?
Ne cliquez pas sur le lien et ne tentez pas de récupérer le prétendu solde. Signalez le message comme indésirable ou tentative d'hameçonnage et supprimez-le. Pour contrôler un vrai compte, utilisez une application ou un site officiel connu. En cas de répétition, conservez l'objet et la date.
Les responsables de sites devraient éviter d'inclure automatiquement les noms, textes libres et liens des visiteurs dans des réponses expédiées à des adresses choisies par eux. La limitation des envois et la protection contre les robots sont utiles. Contact Form 7 met en garde contre ce risque, sans que l'on puisse affirmer que le commerce en question l'utilisait.
Livraison non sollicitée
Le destinataire perd son temps, le commerce risque sa réputation et l'escroc gagne un coursier gratuit. Personne n'a commandé à dîner, mais une portion d'hameçonnage arrive à domicile. Retour à l'expéditeur !
Sources : IPA japonaise, rapport 2020, section 5 · Avertissement Contact Form 7 · Guide de la FTC
